De Code 2016 – effectief sinds boekjaar 2017¹ – bevat enkele bepalingen die zien op het afleggen van verantwoording door het bestuur van de vennootschap over de effectiviteit van de opzet en werking van de interne risicobeheersings- en controlesystemen. De externe ‘in control’ verantwoording door het bestuur over risico’s en risicobeoordeling heeft in de Code 2016 (via Bpb 1.4.2 en Bpb 1.4.3) een nieuw accent gekregen ten opzichte van de Nederlandse Corporate Governance Code uit 2008 (hierna: Code 2008). Dat nieuwe accent betreft ten eerste de beschrijving van het risicoprofiel. Volgens de Code 2016 komen hierin aan de orde:

• de uitvoering van de risicobeoordeling en beschrijving van de voornaamste risico’s in relatie tot haar risicobereidheid, waarbij gedacht kan worden aan strategische, operationele, compliance- en verslaggevingsrisico’s (Bpb 1.4.2, onderdeel i, Code 2016);
• de gevoeligheid van de resultaten van de vennootschap voor materiële wijzigingen in externe omstandigheden (Bpb 1.4.2, onderdeel iv, Code 2016); en
• de materiële risico’s en onzekerheden die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag (welke uiteenzetting is af te leiden uit Bpb 1.4.3, onderdeel iv, Code 2016).

Het tweede nieuwe aspect betreft een beschrijving van de interne-risicobeheersings- en controlesystemen. Volgens de Code 2016 komen hierin aan de orde:

• de opzet en werking van de interne-risicobeheersings- en controlesystemen over het afgelopen boekjaar (Bpb 1.4.3, onderdeel ii, Code 2016); en
• eventuele belangrijke tekortkomingen in de interne-risicobeheersings- en controlesystemen die in het boekjaar zijn geconstateerd, welke eventuele significante wijzigingen in die systemen zijn aangebracht, welke eventuele belangrijke verbeteringen zijn voorzien, en dat deze onderwerpen zijn besproken met de auditcommissie en de Raad van Commissarissen (hierna: RvC) (Bpb 1.4.3, onderdeel iii, Code 2016).

Naast deze beschrijvende ‘in-control’ verantwoording door het bestuur verwacht de Code 2016 (Bpb 1.4.3) dat een ‘verklaring van het bestuur’ (een zogenoemde bestuursverklaring) wordt opgenomen in het bestuursverslag. In deze verklaring verklaart het bestuur met een duidelijke onderbouwing dat:

1. i. het bestuursverslag in voldoende mate inzicht geeft in tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen;
2. ii. voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat;
3. iii. het naar de huidige stand van zaken gerechtvaardigd is dat de financiële verslaggeving is opgesteld op going concern basis; en
4. iv. in het verslag de materiële risico’s en onzekerheden zijn vermeld die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag.

Over de formuleringen van de bestuursverklaring in de Code 2016, en in de voorlopers daarvan, is de afgelopen jaren de nodige literatuur verschenen. Zie bijvoorbeeld Emanuels (2017), Van Daelen and De Groot (2014), De Groot (2010) en – eerder al – De Groot and Koolstra (2006).

In de bestuursverslagen over boekjaar 2019 wordt de bestuursverklaring uit hoofde van Bpb 1.4.3 Code 2016 met enige regelmaat niet als bestuursverklaring geduid, maar als ‘in-control statement’. Als die bestuursverklaring in het hierboven ‘in-control’ conceptueel kader wordt geplaatst van in-control verantwoording, dan blijkt het volgende:

Het eerste element uit de bestuursverklaring – te weten: de verklaring dat ‘het verslag in voldoende mate inzicht geeft in tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen’ – is geen expliciete ‘in-control verklaring’ zoals omschreven in het conceptuele kader. De reden hiervoor is dat in de verklaring geen expliciete conclusie is opgenomen over de adequate opzet en/of effectieve werking van het interne risicobeheersing en controlesysteem.

Terzijde voegen wij hieraan toe dat het bestuur tegelijkertijd wel moet verklaren dat het bestuursverslag in voldoende mate inzicht geeft in tekortkomingen in de werking van de interne-risicobeheersings- en controlesystemen. Dit ziet toe op het gehele spectrum aan strategische, operationele, financiële, compliance en verslaggevings-risico’s. Als de uiteenzetting over tekortkomingen wordt bevestigd, spreekt het bestuur zich in feite impliciet uit over het functioneren van het gehele systeem van risicobeheersing. Immers tekortkomingen kunnen alleen worden gerapporteerd als de werking van het stelsel is geëvalueerd. Het ligt in de lijn der verwachting dat lezers deze verklaring kunnen opvatten dat áls er geen tekortkomingen zijn gerapporteerd, het systeem van risicobeheersing gedurende het verslagjaar kennelijk naar behoren heeft gefunctioneerd. Aldus kan een impliciete conclusie worden getrokken over de effectieve beheersing van alle materiële risicocategorieën. Een expliciete ‘in-control verklaring’ is deze verklaring echter niet.

Het tweede element uit de bestuursverklaring – te weten: de verklaring dat ‘de voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat’ – is ook geen expliciete ‘in-control verklaring’. De reden hiervoor is dat in deze zinsnede geen expliciete uitspraak is opgenomen over de opzet en/of het bestaan en/of de werking van systeem van risicomanagement ten aanzien van de financiële verslaggeving. Als dit tweede element uit de bestuursverklaring wordt afgezet tegen de COSO definitie van internal control wordt duidelijk wat dit tweede element dan wel is: namelijk dat er in feite niets meer en niets minder wordt gesteld dan dat de systemen erop gericht zijn om de doelstelling van betrouwbare financiële verslaggeving te bereiken. Immers COSO definieert internal control als volgt: ‘Internal control is a process, effected by an entity’s board of directors, management, and other personel, designed to provide reasonable assurance regarding the achievement of objectives relating to operations, reporting and compliance.’ (COSO (2013). Met de zinsnede in de bestuursverklaring dat ‘de voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat’ wordt dus expliciet gemaakt wat het doel is van het interne beheersings- en controlesysteem van de vennootschap ten aanzien van financiële verslaggeving: namelijk dat de verslaggeving geen onjuistheden van materieel belang bevat. Deze beschrijving van de doelstelling van de systemen is een uitspraak die altijd waar is. Maar de enkele (correcte) beschrijving van de doelstelling van de systemen zegt nog niets over de effectieve werking van die systemen in het verslagjaar. Terzijde merken wij op dat wij niet uitsluiten dat het voorgenoemde tweede element in de bestuursverklaring door opstellers en/of gebruikers desalniettemin wordt gelezen als een (impliciete) uitspraak dat de systemen naar behoren hebben gewerkt; conceptueel gezien volgt dat echter niet uit deze passage.

Het derde element uit de bestuursverklaring – te weten: de verklaring dat ‘het naar de huidige stand van zaken gerechtvaardigd is dat de financiële verslaggeving is opgesteld op going concern basis’ – is ook geen ‘in-control verklaring’. Dit element van de verklaring betreft namelijk weliswaar expliciete bevestiging door de bestuurders, maar die bevestiging ziet niet op het ‘in control’ zijn, maar op de rechtvaardiging dat de financiële verslaggeving is opgesteld op going concern basis.

Terzijde merken wij op dat de vraag kan worden opgeworpen wat de meerwaarde is van dit element van de verklaring. Impliciet hebben bestuurders reeds verklaard dat het gerechtvaardigd is dat de financiële verslaggeving op going concern basis kon worden opgesteld door het ondertekenen van de jaarrekening. Dat zal slechts anders zijn in die situaties dat er sprake is van zekerheid over discontinuïteit en de jaarrekening is opgemaakt op basis van liquidatiegrondslagen. In dat geval zal de bestuursverklaring dit derde element niet (kunnen) bevatten.

Het vierde element uit de bestuursverklaring – te weten: de verklaring dat ‘in het verslag de materiële risico’s en onzekerheden zijn vermeld die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag’ – raakt wel aan de omschrijving van de ‘in-control verklaring’ zoals benoemd in het conceptueel kader. In dit element van de bestuursverklaring wordt een specifieke deelverzameling benoemd van het beschreven risicoprofiel (de uitkomst van een risicobeoordeling als onderdeel van het risicomanagement systeem) in het bestuursverslag, namelijk de materiele risico’s rondom korte termijn continuïteit.

Een analyse van deze vier elementen uit de bestuursverklaring uit hoofde van Bpb 1.4.3 Code 2016 resulteert in de conclusie dat die verklaring vooral een verklaring is waarin specifieke verantwoordelijkheden van het bestuur van de onderneming worden benadrukt. De verklaring expliciteert wat van bestuurders al impliciet wordt verwacht. Deze bestuursverklaring uit de Code 2016 is dan ook geen ‘in-control verklaring’ pur sang, omdat er geen expliciete conclusie gevraagd (en gegeven) wordt over de adequate opzet en effectieve werking van het systeem van interne risicobeheersing- en controlesystemen. Alleen het vierde element uit de bestuursverklaring – de verklaring over de vermelding van relevante risico’s en onzekerheden voor de komende twaalf maanden – kan in bovengenoemd conceptueel kader worden aangemerkt als een expliciete ‘in-control verklaring’ die concluderend is over het beeld van een deelaspect van het risicoprofiel van de onderneming. Dit vierde element kan aldus ook worden beschouwd van de als een additionele toelichting, die volgens Bpb 1.4.3 Code 2016 wordt verwacht, maar niet elders in de wet- en regelgeving – Boek 2 van het Burgerlijk Wetboek (hierna: BW) of de Richtlijnen voor de jaarverslaggeving (hierna: RJ) – is voorgeschreven.

De bestuursverklaring in de Code 2016 staat niet op zich. De historie ervan gaat terug naar de eerste Nederlandse Corporate Governance Code, de Corporate Governance Code uit 2003 (hierna: de Code 2003).² Als inspiratie voor de Code 2003 diende, naast de toenmalige VK corporate governance code en het Turnbull Report (1999), (mede) wet- en regelgeving in de Verenigde Staten van Amerika (hierna VS), in het bijzonder de Sarbanes-Oxley Act van 2002 (hierna Sox). In de Code 2003 was Bpb II.1.4 opgenomen. Aan deze best practice bepaling is in 2005 door de Commissie Frijns een nadere interpretatie gegeven (hierna: Interpretatie Frijns, MCCG 2005, p.7–8). Vervolgens werd in de aangepaste Nederlandse Corporate Governance Code uit 2008³ ervoor gekozen om – in lijn met de Interpretatie Frijns (MCCG 2005) – de reikwijdte van de best practice bepaling die zag op de bestuursverklaring in te perken tot een verklaring ten aanzien van de interne risicobeheersings- en controlesystemen gekoppeld aan de financiële verslaggevingsrisico’s. De meest recente herziening van de Nederlandse Corporate Governance Code, leidende tot de (thans geldende) Code 2016, heeft geleid tot de bestuursverklaring uit hoofde van Bpb 1.4.3 Code 2016 met de hierboven beschreven vier elementen.

De historische ontwikkeling van de ‘in-control verklaring’ en bestuursverklaring is opgenomen in Figuur 2.

De achtergrond voor de Interpretatie Frijns (MCCG 2005) werd gevormd door de hoge mate waarin Bpb II.1.4 van Code 2003 niet werd nageleefd, respectievelijk het grote aantal malen dat werd uitgelegd waarom van die best practice bepaling werd afgeweken. De Interpretatie Frijns (MCCG 2005) beperkt de scope van de ‘in-control verklaring’ tot de interne risicobeheersingssystemen voor de financiële verslaggevingsrisico’s. Daarnaast leidde de introductie en definiëring van begrippen als ‘redelijke mate van zekerheid’, ‘materieel belang’, en ‘naar behoren functioneren’, tot meer houvast aan de opstellers, beoordelaars en gebruikers van de risicoparagraaf in het jaarverslag (De Groot and Koolstra (2006). Tegelijkertijd bevat de Interpretatie Frijns ook een uitbreiding van de ‘in-control verklaring’, door het afgeven van een verklaring ten aanzien van de toekomstige werking van de interne risicobeheersingssystemen over financiële verslaggeving (een zogenoemd forward looking statement).⁴>

Bij de herziening van de Nederlandse Corporate Governance Code in 2008 is ervoor gekozen om de reikwijdte van de best practice bepaling die zag op de bestuursverklaring – Bpb II.1.5 Code 2008 – in te perken. De ‘in-control verklaring’ van het bestuur ten aanzien van de interne risicobeheersings- en controlesystemen werd gekoppeld aan de financiële verslaggevingsrisico’s. Het zogenoemde forward looking element kwam te vervallen. In de toelichting op Bpb II.1.5 Code 2008 werd opgemerkt dat beursvennootschappen met een beursnotering op een Amerikaanse effectenbeurs worden geacht te hebben voldaan aan de Code 2008 indien zij in hun financiële verslaggeving op juiste wijze toepassing geven aan Section 404 Sox (zie ook par 2.4.1 hierna).⁵

In februari 2016 werd het voorstel gepubliceerd voor herziening van de destijds geldende Code 2008. De Monitoring Commissie Corporate Governance Code (hierna: Monitoring Commissie) stelde hierin voor om het bestuur in het bestuursverslag een (brede) ‘in-control verklaring’ te laten afleggen dat de interne risicobeheersings- en controlesystemen in het verslagjaar goed hebben gewerkt (Herzieningsvoorstel Code, MCCG 2016a, p. 16). Deze verbreding werd toegelicht door de opmerking dat verbreding aansluit ‘bij de expliciete aandacht die de Commissie geeft aan niet-financiële aspecten van ondernemen. Risico’s die voorvloeien uit niet-financiële aspecten, zoals de invloed op milieu, kunnen ook financiële consequenties hebben’ (Herzieningsvoorstel Code 2016, MCCG 2016a, p. 15).

In de uiteindelijk tot stand gebrachte Code 2016 is de voorgestelde verbreding niet doorgevoerd.⁶ Tegelijkertijd merkt de Monitoring Commissie op dat de ‘in-control verklaring’ in de Code 2016 ‘breder [blijft] dan de Code 2008 en (…) zich in onderdelen i en iv dus niet enkel [beperkt] tot financiële verslaggevingsrisico’s. Daarmee ligt de verklaring in het verlengde van de interne risicobeheersings- en controlesystemen, die immers ook niet zijn beperkt tot financiële verslaggevingsrisico’s. De verbreding impliceert overigens niet dat aan de verklaring voor elk risico hetzelfde controlebouwwerk ten grondslag moet liggen. Uitgangspunt is dat die tekortkomingen en risico’s in het bestuursverslag worden vermeld die ertoe doen en dat het bestuur verklaart dat de weergave naar wat zij weten volledig is. Het gaat daarbij om materiële risico’s die zijn gesignaleerd dan wel redelijkerwijs zijn te voorzien op het moment dat de verklaring wordt afgegeven.’ (Verantwoording van het werk van de Commissie, MCCG 2016, p. 8–9).

Samenvattend kan worden geconcludeerd dat de ‘in-control verklaring’ in het bestuursverslag over de effectieve opzet en effectieve werking van de interne risicobeheersings- en controlesystemen sinds 2003 in de verschillende Nederlandse Corporate Governance Codes verschillende verschijningsvormen kent. Daarbij valt een vijftal aspecten op:

• Reikwijdte: een reikwijdte die toeziet op het gehele (ruime) spectrum aan risico’s (strategisch, operationeel, financieel, compliance en verslaggeving risico’s) tot een (engere) reikwijdte die alleen betrekking heeft op financiële verslaggeving risico’s.
• Formulering van de conclusie: van een expliciete conclusie over de werking (‘naar behoren functioneren’) van de interne risicobeheersings- en controlesystemen versus een impliciete conclusie (door middel van verklaren dat materiele tekortkomingen zijn beschreven).
• Factor tijd: de verklaring omvat een uitspraak die betrekking heeft op de werking gedurende het gehele verslagjaar, versus een uitspraak die betrekking heeft op de status per einde boekjaar (optioneel voor beursvennootschapen die vanwege een Amerikaanse beursnotering een verklaring gebaseerd op Section 404 Sox opnemen).⁷
• Toekomstblik: wel een uitspraak over de toekomstige werking (Interpretatie Frijns, MCCG2005), versus geen uitspraak over de toekomstige werking (Code 2003, Code 2008, Herzieningsvoorstel Code 2016 en Code 2016).
• Rol van de externe accountant: geen toetsende rol van de externe accountant (in de Code 2003 tot en met de Code 2016), versus wel een toetsende rol (zoals voorgesteld in door de CTA (CTA 2020).

In de Nederlandse Corporate Governance Codes zijn geen normatieve voorschriften opgenomen aangaande welk raamwerk met criteria voor het interne risicobeheersings- en controlesysteem ten grondslag moet liggen aan de ‘in-control verklaring’. In de toelichtingen op de Codes 2003, 2008 en 2016 wordt slechts gesteld dat het in rede ligt dat het bestuur in de beschrijving van de opzet en werking van de interne risicobeheersings- en controlesystemen aangeeft welk raamwerk of normenkader (bijvoorbeeld het COSO raamwerk voor interne beheersing)⁸ is gehanteerd bij de evaluatie van het interne risicobeheersings- en controlesysteem.

De hierboven geschetste ontwikkelingen in Nederland staan niet los van internationale ontwikkelingen. Met name in de VS en in het VK vindt discussie plaats over de invulling van het verklaren over ‘in control’ zijn door beursgenoteerde ondernemingen.⁹

2.4.1 Ontwikkelingen in de VS: statements uit hoofde van Sections 302 en 404 Sox

De bepalingen in de Nederlandse Corporate Governance Codes – thans in de Code 2016 – zijn oorspronkelijk (mede) geïnspireerd door de invoering in de VS in 2002 van de verplichtingen voor het bestuur van beursgenoteerde ondernemingen om een verklaring af te leggen over de effectieve werking van de ‘disclosure controls and procedures’ (Section 302 Sox) en over de ‘internal controls over financial reporting’ (Section 404a Sox; waarover uitvoerig Van Ginneken (2003) en Van Ginneken (2004)).

Uit hoofde van de verklaring voorgeschreven in Section 302 Sox, en de daarop gebaseerde regelgeving, verklaart het bestuur in haar verslag dat de ‘disclosure controls and procedures’ per ultimo rapportageperiode effectief zijn,¹⁰ Ook dient het bestuur in de verklaring de conclusies ‘regarding the effectiveness of the (…) disclosure controls and procedures’ toe te lichten, gebaseerd op de evaluatie van die controls en procedures.¹¹ Als onderdeel van die evaluatie dient het bestuur te evalueren ‘any change in the issuer’s internal control over financial reporting, that occurred during [the reporting period] that has materially affected, or is reasonably likely to materially affect, the issuer’s internal control over financial reporting.¹² De verklaring uit hoofde van Section 302 Sox betreft dus een zogenoemde point-in-time conclusie en kent een zeker forward-looking element door de uitspraak over mogelijke wijzingen in de internal control.

De ‘in-control verklaring’ uit hoofde van Section 404 Sox houdt in dat het bestuur verklaart dat de internal control over financial reporting effectief is per ultimo boekjaar. Daarbij dient tevens te worden aangegeven welk algemeen geaccepteerd raamwerk is gehanteerd als basis voor deze conclusie. Op basis van een interpretatie van de SEC is het COSO Internal Control – Integrated Framework (2013) daarvoor thans aangeduid als geschikt – en daardoor ook veelal het gebruikte – referentiekader.¹³ De regelgeving op basis van Section 404 Sox schrijft tevens voor dat materiële tekortkomingen in de ‘internal controls over financial reporting’ uiteengezet moeten worden.¹⁴ Bovendien dient het bestuur in de verklaring die uit hoofde van Section 404 Sox wordt afgegeven te verklaren dat de externe accountant de effectieve werking van de internal controls over financial reporting heeft gecontroleerd en daarover een opinie heeft uitgebracht.¹⁵ Voor de toetsing door de externe accountant is door de Public Company Accounting Oversight Board (hierna: PCAOB) een specifieke controlestandaard uitgegeven.¹⁶ De externe accountant dient in zijn zogenoemde ‘integrated audit opinion’ naast zijn conclusie over de betrouwbaarheid van de financiële verslaggeving, ook een eigen conclusie op te nemen over effectiviteit van de internal controls over financial reporting per ultimo boekjaar, gebaseerd op hetzelfde referentiekader als door het bestuur is gebruikt (doorgaans derhalve het COSO Internal Control – Integrated Framework).¹⁷

Nederlandse beursvennootschappen met een notering in de VS zijn – in beginsel – gehouden om in het jaarverslag voor Amerikaanse deponeringsdoeleinden (welk jaarverslag overigens kan verschillen van de financiële verslaggeving die op basis van de Nederlandse wetgeving openbaar wordt gemaakt) deze twee verklaringen op te nemen, inclusief de opinie van de externe accountant.

2.4.2 Ontwikkelingen in het VK

De huidige UK Corporate Governance Code 2018 kent specifieke voorschriften over het verantwoorden over risico’s en risicobeheersing. Er behoeft door de bestuurders geen expliciete ‘in-control verklaring’, in de betekenis van een conclusie over de effectieve werking van de interne risicobeheersings- en controlesystemen, te worden afgegeven.

In het Kingman Report (2018) is opgemerkt dat onderzocht zou moeten worden hoe het raamwerk voor internal controls bij ondernemingen kan worden versterkt en daarin mede te betrekken relevante leerervaringen met het Sox regime in de VS.

Het Brydon Report (2019) sluit daarop aan. In het Brydon Report (2019) wordt geadviseerd de CEO en CFO een getekende internal control verklaring te laten afgeven met als strekking ‘an evaluation of the effectiveness of the company’s internal controls over financial reporting has been completed and whether or not they were effective’ (Brydon Report (2019), p. 63). Daarbij wordt tevens voorgesteld dat de desbetreffende ‘in-control verklaring’ gebaseerd zou moeten worden op een VK specifieke versie van het COSO Integrated Internal Control Framework (2013) (Brydon Report (2019), p. 63). Voor de te hanteren tekst van de verklaring refereert het rapport aan de bewoordingen uit de verklaring die ingevolge Section 302 Sox moet worden afgegeven. Deze ‘in-control verklaring’ wordt in het Brydon Report (2019) normaliter geen object van het onderzoek van de externe accountant, tenzij er tekortkomingen zijn geconstateerd. Indien na afgiftedatum van de ‘in-control verklaring’ toch tekortkomingen worden geconstateerd in de periode 12 maanden voorafgaand aan of in 12 maanden na datum afgifte van de ‘in-control verklaring’, moet gedurende de drie daarop volgende jaren de ‘in-control verklaring’ wel worden gecontroleerd door de externe accountant (Brydon Report (2019), p. 63).

Voor elk van de vier afzonderlijke elementen uit de bestuursverklaring uit hoofde van Bpb 1.4.3 Code 2016 is beoordeeld of het desbetreffende element is opgenomen in het bestuursverslag 2019. De bewoordingen uit deze best practice bepaling worden niet altijd letterlijk gehanteerd. Daar waar dat het geval was en de bewoordingen inhoudelijk dicht tegen de letterlijke bewoordingen lagen, is ook in die gevallen het element beoordeeld als zijnde dat Bpb 1.4.3 Code 2016 is gevolgd.

De Code 2016 vereist geen expliciete ‘in-control verklaring’ in het jaarverslag (meer) van het bestuur. In het licht van de hiervoor geschetste ontwikkelingen, gezien de historie van de bepalingen over bestuursverklaringen in de voorgangers van de Code 2016 én gegeven het feit dat Nederlandse beursvennootschappen met een notering in de VS ingevolge (Section 404 van) Sox nog steeds een ‘in-control verklaring’ moeten afgeven, is in dit onderzoek nader onderzocht op welke wijze ‘in-control verklaringen’ zijn opgenomen in de jaarverslagen 2019 van de 91 onderzochte Nederlandse jaarverslagen. Daarbij is specifiek gekeken naar een drietal relevante aspecten van de ‘in-control verklaring’ die, vanuit de historische ontwikkeling (zie paragraaf 2.3), opvielen:

• De reikwijdte van de conclusie over het functioneren van het systeem. De ‘in-control verklaring’ kan ruim zijn en betrekking hebben op het gehele interne risicobeheersings- en controlesysteem dat betrekking heeft op de beheersing van de strategische, operationele, financiële, compliance en verslaggeving risico’s. Deze reikwijdte was opgenomen in de Code 2003 en in het Herzieningsvoorstel Code 2016 (MCCG 2016a). De ‘in-control verklaring’ kan daarentegen ook enger zijn en betrekking hebben op een deelsysteem van het interne risicobeheersings- en controlesysteem, te weten het systeem dat betrekking heeft op de beheersing van de financiële verslaggeving risico’s. Deze reikwijdte was opgenomen in de interpretatie van Bpb II.1.4 Code 2003 in de Interpretatie Fijns (MCCG 2005) en in de Code 2008. Ook de reikwijdte van Section 404 Sox heeft deze (engere) reikwijdte.
• De factor tijd. De conclusie in de ‘in-control verklaring’ kan betrekking hebben op (i) het gehele verslagjaar (zogenoemde period-of-time [pot]), of op (ii) op de stand van zaken per einde van verslagjaar (zogenoemde point-in-time [pit]). Door de jaren heen hebben de relevante best practice bepalingen in de Nederlandse Corporate Govenance Codes steeds betrekking gehad op (de werking gedurende) het gehele verslagjaar, terwijl de ‘in-control verklaringen’ volgens Sections 302 en 404 Sox betrekking hebben op het functioneren per einde van de verslagperiode.
• De toekomstblik (‘forward looking statement’). Het opnemen van al dan niet een uitspraak over de verwachte werking van het interne risicobeheersings- en controlesysteem in het lopende verslagjaar. Een element van forward looking statement was opgenomen in de Interpretatie Frijns (MCCG 2005).

Voor elk van de vier elementen uit de bestuursverklaring uit hoofde van Bpb 1.4.3 Code 2016 is afzonderlijk beoordeeld of het desbetreffende element is opgenomen in het bestuursverslag 2019. De onderzoeksuitkomsten zijn samengevat in Tabel 1.

De bestuursverklaring uit de Code 2016 wordt op alle vier de elementen voor het overgrote deel (tussen de 86% en 100%) gevolgd door de AEX-, AMX- en AScX-fondsen. Bij de beurvennootschappen behorende tot de overige-fondsen is dat met een score per element van tussen de 36% en 46% significant lager.

Wanneer de beoordeling van de bestuursverklaringen verder wordt uitgesplitst naar aard van de beursnotering (uitsluitend Nederland, een dual-listing NL-VS en dual-listing NL-X) ontstaat een beeld zoals weergeven in Tabel 2.

De beursvennootschappen met een dual-listing NL-VS, met uitzondering van 1 beursvennootschap die kwalificeert als overig-fonds, nemen alle vier elementen in de bestuursverklaring op. Een nagenoeg zelfde beeld geldt voor ondernemingen met een dual-listing NL-X. Het tevens beursgenoteerd zijn in een andere jurisdictie, naast een Nederlandse beursnotering, heeft geen significante invloed op de mate van toepassing van (de bepalingen uit de Code 2016 aangaande de) Nederlandse bestuursverklaring.

Een aantal beursvennootschappen combineert de bestuursverklaring uit hoofde van Bpb 1.4.3 Code 2016 met de verklaring die uit hoofde van art. 5:25c Wft moet worden opgenomen in de financiële verslaggeving. Een voorbeeld daarvan is TKH Group (Jaarverslag 2019, p. 95), een vennootschap die Bpb 1.4.3 Code 2016 volledig volgt (zie Figuur 3).

4.1.1 Het element ‘tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen’

Het eerste element uit de bestuursverklaring betreft de verklaring dat het verslag in voldoende mate inzicht geeft in tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen.

In totaal 74% van de beursvennootschappen neemt dit element op. Opvallend is het verschil tussen enerzijds de AEX-fondsen, AMX-fondsen, AscX-fondsen en anderzijds de overige-fondsen. Immers 95% van de AEX-fondsen, 86% van de AMX-fondsen en 91% van de AScX-fondsen nemen het element op, terwijl minder dan de helft – slechts 36% – van de overige-fondsen dit element opneemt.

Er is één AEX-fonds dat dit element niet heeft opgenomen in de bestuursverklaring. Een ander AEX-fonds beperkt de reikwijdte van dit element tot tekortkomingen in de interne risicobeheersings- en controlesystemen ten aanzien van de financiële verslaggeving. Drie AMX-fondsen en twee AScX-fondsen nemen dit element niet op in de bestuursverklaring. Deze vijf beursvennootschappen hebben overigens in het bestuursverslag wel een ‘in-control verklaring’ opgenomen die betrekking heeft op de werking van de interne risicobeheersings- en controlesystemen ten aanzien van de financiële verslaggeving (zie ook paragraaf 4.2).

Achttien (64%) van de 28 overige-fondsen nemen, als gezegd, dit element niet op in de bestuursverklaring. Hiervan legt één beursvennootschap de afwijking van de Code 2016 gemotiveerd uit. Een andere beursvennootschap, die naast de Nederlandse beursnotering tevens een notering in de VS heeft, legt de afwijking van de Code 2016 ook uit, maar in de uitleg voor de afwijking wordt nog verwezen naar Bpb II.1.5 uit de Code 2008 en als motivering wordt verwezen naar de optie die de Code 2008 bood om een verklaring uit hoofde van Section 404 Sox te gebruiken als invulling voor de Nederlandse ‘in-control verklaring’ (zie ook paragraaf 2.3 hiervoor). Veertien van deze 18 lokale-fondsen nemen weliswaar dit element niet op in het bestuursverslag, maar in hun jaarverslagen is wel een expliciete ‘in-control verklaring’ opgenomen. Het betreft verklaringen die qua strekking overeenkomen met hetgeen opgenomen was in de Code 2008, in de Interpretatie Frijns (MCCG 2005), het Herzieningsvoorstel Code (MCCG 2016a), respectievelijk de Code 2003.

Circa een op de vijf (22%) beursvennootschappen die dit element heeft opgenomen in de bestuursverklaring, geeft de lezer direct duidelijkheid dat er geen sprake is geweest van tekortkomingen in het interne risicobeheersings- en controlesysteem. Deze duidelijkheid wordt verschaft door het expliciet stellen in de bestuursverklaring zelf of door in de inleidende paragraaf van de bestuursverklaring op te nemen dat er geen (materiele) tekortkomingen in het verslagjaar zijn geweest. Volledigheidshalve wordt opgemerkt dat buiten de scope van het onderhavige praktijkonderzoek de vraag viel of op andere plaatsen in het bestuursverslag al dan niet tekortkomingen in de (brede) werking van het risicomanagementsysteem zijn gerapporteerd.

Ondanks het feit dat de huidige bestuursverklaring geen expliciete ‘in-control verklaring’ is, neemt een viertal AEX-fondsen een disclaimer op dat de bestuursverklaring niet opgevat moet worden als een ‘in-control statement’ als bedoeld in Section 404 van Sox en de daarop gebaseerde regelgeving. Drie van deze vier fondsen hebben naast een notering in Amsterdam tevens een notering in de VS (dual listing NL-VS) en nemen in hun jaarverslag een verklaring als bedoeld in Section 404 Sox op.

4.1.2 Het element ‘systemen een redelijke mate van zekerheid geven dat financiële verslaggeving geen onjuistheden bevat’

Het tweede element uit de bestuursverklaring betreft de verklaring dat voornoemde systemen een redelijke mate van zekerheid geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat. In totaal neemt 96% van de beursvennootschappen dit element op.

Deze zinsnede komt in alle (100%) bestuursverslagen van de AEX-, AMX- en AScX-fondsen terug. In de bestuursverslagen van vier (14%) overige-fondsen is deze passage niet aangetroffen, waarbij twee beursvennootschappen gemotiveerd afwijken van de Code 2016.

4.1.3 Het element ‘going concern’

Het derde element uit de bestuursverklaring betreft de verklaring dat het naar de huidige stand van zaken gerechtvaardigd is dat de financiële verslaggeving is opgesteld op going concern basis.

In totaal neemt 82% van de beursvennootschappen dit element op. In alle (100%) bestuursverklaringen van de AEX- en AMX-fondsen komt dit element voor. Bij de AScX-fondsen is dit 95% en bij de overige-fondsen 46%.

4.1.4 Het element ‘risico’s voor de komende twaalf maanden’

Het vierde element uit de bestuursverklaring betreft de verklaring dat in het verslag de materiële risico’s en onzekerheden zijn vermeld die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag. In totaal neemt 81% van de beursvennootschappen dit element op.

Dit percentage wordt met name bepaald door de overige-fondsen. Immers 100% van de AEX-fondsen, 95% van de AMX-fondsen en 95% AScX-fondsen nemen het element op, terwijl slechts 46% van de overige-fondsen dit element opneemt.

Eén AEX-fonds heeft ervoor gekozen het Covid-19 risico specifiek te benoemen in de tekst van de bestuursverklaring in relatie tot de komende twaalf maanden en de liquiditeitspositie, waarmee meer in de geest van de bepaling dan via gebruik van letterlijke bewoordingen van de bepaling invulling wordt gegeven aan dit element uit de best practice bepaling.

Een negental beursvennootschappen stelt in de bestuursverklaring expliciet dat er geen risico’s zijn voor de komende twaalf maanden ter zake van de verwachting van de continuïteit van de vennootschap.

Een significant aantal beursvennootschappen (41, overeenkomend met 45% van de populatie), neemt een expliciete ‘in-control verklaring’ over het functioneren van de interne risicobeheersings- en controlesystemen op in het bestuursverslag 2019, zo blijkt uit 91 onderzochte jaarverslagen 2019.

Ruim twee derde (68%) van de overige-fondsen neemt een ‘in-control verklaring’ op, tegen 36% van de AScX-fondsen, 38% van de AMX-fondsen en 30% van de AEX-fondsen.

Vijf (allen AEX-fondsen) van de zes beursvennootschappen met een dual listing NL-VS, nemen ook de verklaring uit hoofde van Section 404 Sox op naast de Nederlandse bestuursverklaring. Drie van deze vijf beursvennootschappen nemen tevens de conclusie over de werking van disclosure controls en procedures (de verklaring uit hoofde van Section 302 Sox) op in het Nederlandse bestuursverslag. De controleverklaring van de externe accountant bij de jaarrekening ziet tevens toe op de ‘in-control verklaring’ uit hoofde van Section 404 Sox.

De plaats in het bestuursverslag waar de ‘in-control verklaring’ terug is te vinden verschilt. Soms vormt deze verklaring onderdeel van de paragraaf waarin de bestuursverklaring is opgenomen, soms is de verklaring opgenomen in de risico-paragraaf en soms in de corporate governance-paragraaf van het bestuursverslag.

Deze ‘in-control verklaringen’ hebben in 16 gevallen (39%) betrekking op het functioneren van het brede risicomanagement systeem en in 25 gevallen (61%) een engere strekking omdat deze alleen betrekking hebben op het functioneren van het stelsel rondom de financiële verslaggeving. De ‘in-control verklaringen’ van 35 van deze beursvennootschappen (85%) hebben als referentiepunt in de tijd de werking gedurende het boekjaar, al dan niet gecombineerd met een forward looking statement over de werking in de toekomst (9 beursvennootschappen). Bij 6 (15%) beursvennootschappen is sprake van een conclusie per ultimo boekjaar (point-in-time conclusie). De samenvatting van de uitkomsten is weergegeven in Tabel 3 en in Tabel 4 (waarbij onderscheid is gemaakt naar de aard van de listing) en de uitkomsten worden in de volgende paragraaf nader toegelicht.

4.2.1 Brede ‘in-control verklaring’

Een brede ‘in-control verklaring’, betrekking hebbend op de beheersing van het gehele spectrum aan risico’s (strategisch, operationeel, financieel, compliance en verslaggeving), is terug te vinden bij 16 fondsen: 1 AEX-fonds, 3 AMX-fondsen, 3 AScX-fondsen en 9 overige-fondsen. Door 15 van die 16 beursvennootschappen wordt gesteld dat het systeem in het verslagjaar naar behoren heeft gefunctioneerd (of woorden van die strekking). Oftewel een positief verwoorde verklaring (zogenoemd ‘positive assurance’). Eén van die 16 beursvennootschappen geeft de verklaring af in de vorm van zogenoemd ‘negative assurance’, namelijk door te verklaren dat er geen indicaties zijn dat de systemen niet naar behoren hebben gewerkt gedurende het verslagjaar.

Er zijn geen beursvennootschappen die tevens een beursnotering in de VS hebben (dual listing NL-VS) die een brede ‘in-control verklaring’ afgeven. Eén beursvennootschap (kwalificerend als een overig-fonds) die tevens een beursnotering heeft aan een andere beurs dan in de VS (dual listing NL-X), geeft (wel) een brede ‘in-control verklaring’ af.

Met uitzondering van één beursvennootschap zien de brede ‘in-control verklaringen’ toe op het gehele verslagjaar. Een organisatie, een AScX-fonds, geeft de brede ‘in-control verklaring’ af naar de werking per ultimo boekjaar (een zogenoemde point-in-time conclusie). Een voorbeeld van een dergelijke brede ‘in-control verklaring’ per ultimo boekjaar – en tevens gecombineerd met de bestuursverklaring – is te vinden in het bestuursverslag van ForFarmers N.V. over 2019 (zie Figuur 4).

Twee beursvennootschappen met een brede ‘in-control verklaring’ nemen tevens een zogenoemd forward looking statement op in de brede ‘in-control verklaring’. Deze beursvennootschappen doen dit door op te merken dat er geen indicaties zijn om aan te nemen dat deze systemen in het lopende jaar niet naar behoren zullen werken.

Een voorbeeld van een alternatieve formulering van een ‘in-control verklaring’ kan niet onbenoemd blijven. Een overig-fonds nam op verschillende plaatsen in haar bestuursverslag en jaarrekening 2019 in totaal vier conclusies op over het in control zijn. Daarbij wordt door een fonds de volgende bewoordingen gebezigd: ‘concludeert de raad van bestuur dat het risicomanagementsysteem, alsmede de beheersing van de bedrijfsprocessen en de interne controle hierop binnen (…) afdoende professioneel, passend en doeltreffend zijn verzorgd.’ Een ander voorbeeld betreft twee beursvennootschappen kwalificerend als overige-fondsen die in de ‘in-control verklaring’ aanvullend vermelden dat er geen onverantwoorde risico’s zijn genomen.

4.2.2 ‘In-control verklaring’ betrekking hebbende op beheersing financiële verslaggevingsrisico’s

Een (engere) ‘in-control verklaring’ betrekking hebbend op het systeem van beheersing van de financiële verslaggevingsrisico’s, is terug te vinden bij 25 beursvennootschappen. Deze zijn onderverdeeld in 5 AEX-fondsen, 5 AMX-fondsen, 5 AScX-fondsen en 10 overige-fondsen. Bij 20 van deze beursvennootschappen wordt gesteld dat de risicobeheersings- en controlesystemen ten aanzien van de financiële verslaggeving ‘in het verslagjaar naar behoren hebben gewerkt’ of ‘adequaat zijn opgezet en effectief hebben gewerkt’ (of woorden van die strekking). Een voorbeeld hiervan is te vinden in de bestuursverklaring in het bestuursverslag van Koninklijke Ahold Delhaize N.V. (zie Figuur 5).

De ‘in-control verklaring’ van dertien van deze 20 beursvennootschappen heeft een reikwijdte die overeenkomt met de reikwijdte zoals deze was voorgeschreven in de Code 2008. Zeven andere beursvennootschappen passen de ‘in-control verklaring’ toe op de wijze zoals aanbevolen in de Intepretatie Frijns (2005) en nemen dus naast een uitspraak over het naar behoren functioneren tevens een forward looking statement op.

Van de 25 (engere) ‘in-control verklaringen’ zien er 20 toe op de werking van die systemen gedurende het gehele verslagjaar. De door de beursvennootschappen met een dual listing NL-VS afgegeven vijf ‘in-control verklaringen’ waarin Sections 302 en 404 Sox worden toegepast, zien toe op de stand per einde boekjaar.

Vijf (allen AEX-fondsen) van de zes beursvennootschappen met tevens een beursnotering in de VS, nemen ook de verklaring uit hoofde van Section 404 Sox op naast de Nederlandse bestuursverklaring. De controleverklaring van de externe accountant bij de jaarrekening ziet bij deze beursvennootschappen tevens toe op de verklaring uit hoofde van Section 404 Sox. Drie van deze vijf beursvennootschappen nemen tevens de conclusie over de werking van disclosure controls and procedures, de verklaring uit hoofde van Section 302 Sox, op in het Nederlandse bestuursverslag. Een voorbeeld daarvan is Unilever N.V. (zie het voorbeeld in Figuur 6). De andere twee beursvennootschappen nemen de verklaring uit hoofde van Section 302 Sox niet op in het Nederlandse bestuursverslag, maar verwijzen voor die verklaring naar de stukken die deze beursvennootschappen hebben gedeponeerd bij de SEC.

De meeste beursvennootschappen benoemen in hun ‘in-control verklaringen’ niet tegen welk normatief referentiekader het functioneren van het systeem van internal control is beoordeeld. Een positieve uitzondering hierop vormt Koninklijke Ahold Delhaize N.V. die in haar verklaring het COSO Internal Control 2013 raamwerk heeft benoemd (zie Figuur 5). Unilever N.V. noemt het referentiekader in haar Management’s Report on Internal Control over Financial Reporting (haar formele verklaring uit hoofde van Section 404 Sox).

Een beursvennootschap behorende tot de overige-fondsen kent naast de beursnotering in Nederland eveneens een beursnotering in Israël. Het bestuursverslag van deze beursvennootschap bevat een verwijzing naar de afgegeven ‘Israeli Sox statement’ over het functioneren van de risicobeheersing van de financiële verslaggevingsrisico’s die is opgenomen in de separate jaarstukken die gepubliceerd worden in verband met de beursnotering in Israël.